Sitio web hackeado: qué hacer y cómo recuperarlo paso a paso

¿Entraste a tu página y no la reconoces? ¿Tus visitas terminan en un sitio de apuestas que tú nunca pusiste?

Respira: un sitio web hackeado casi siempre tiene solución. Es como llegar a tu local y encontrar la puerta abierta y las luces prendidas a las tres de la mañana: lo importante es actuar rápido y con orden. Mientras tanto, cada día sin resolverlo te cuesta clientes, confianza y posicionamiento.

En este artículo te explicaremos cómo reconocer una página web hackeada, qué hacer en las primeras horas, cómo limpiarla, cómo avisar a tus clientes y cómo evitar que el hackeo se repita. Empecemos…

1. ¿Cómo saber si tu sitio web fue hackeado?

Tu sitio web fue hackeado si muestra redirecciones a páginas desconocidas, contenido que nadie publicó, usuarios administradores que no reconoces o advertencias de Google. Para confirmarlo, revisa Problemas de seguridad en Google Search Console y busca site:tudominio.com: si aparecen páginas de spam que tú no creaste, es probable que tu sitio haya sido comprometido.

Señal	Qué puede significar	Qué revisar primero
Redirecciones o ventanas emergentes	Código malicioso en el tema, los plugins o la base de datos	Abre el sitio desde el celular y en una ventana de incógnito
Cambios que nadie hizo	Acceso no autorizado al panel o a los archivos	Usuarios administradores y archivos modificados recientemente
No puedes entrar al panel	El atacante cambió tus accesos	Pide ayuda a tu hosting para recuperar la cuenta
Advertencia de Google o del navegador	Google detectó malware o phishing	Search Console, sección Problemas de seguridad
Lentitud o caída de visitas	Código oculto o spam que consume recursos y daña tu posicionamiento	Escanea el sitio con Sucuri SiteCheck o Wordfence

Un sitio hackeado rara vez avisa: no te va a escribir por WhatsApp para decirte “oye, me hackearon”. Además, el hackeo de páginas web a veces solo se ve desde Google, porque el atacante muestra el spam únicamente a los buscadores (una técnica llamada cloaking).

2. ¿Qué hacer si hackean tu página web en las primeras horas?

Si hackean tu página web, cierra el acceso primero y limpia después: activa el modo mantenimiento, avisa a tu hosting, guarda una copia del sitio infectado, cambia todas las contraseñas y revisa tu computadora con un antivirus. Es como una llave de agua abierta: primero cierras la llave y después secas el piso.

1. Activa el modo mantenimiento para que tus visitantes no se expongan a contenido malicioso ni se propague el malware.
2. Avisa a tu proveedor de hosting. Puede darte registros del servidor y ayudarte a restaurar una copia.
3. Haz una copia del sitio infectado y guárdala fuera del servidor, por si necesitas analizarla después.
4. Cambia todas las contraseñas: hosting, panel del CMS (Sistema de Gestión de Contenidos), FTP/SFTP, base de datos y correo. Que sean largas y únicas.
5. Revisa tu computadora con un antivirus. Muchas veces el malware que roba tus accesos está en el equipo desde el que administras la web.
6. Evalúa el alcance: qué áreas fueron afectadas, si se pudieron comprometer datos de clientes o pagos, y por dónde entró el atacante (los registros de actividad dan pistas).

3. ¿Cómo limpiar un sitio web hackeado?

Para limpiar un sitio web hackeado tienes dos caminos: restaurar una copia de seguridad (backup) limpia, anterior al ataque, que es lo más rápido; o limpiar el malware de forma manual, que toma más tiempo y requiere conocimientos técnicos. En ambos casos, actualiza todo después y vuelve a escanear hasta que no aparezca nada.

Criterio	Restaurar un backup limpio	Limpieza manual
Tiempo	Pocas horas	Varios días
Qué necesitas	Una copia anterior al ataque; un hosting con respaldos diarios ayuda	Escáner, acceso a archivos y base de datos, y conocimientos técnicos
Riesgo	Restaurar una copia que ya estaba infectada	Dejar puertas traseras abiertas
Cuándo conviene	Tienes un respaldo reciente y verificado	No hay copia, o el respaldo también está infectado

Si restauras una copia, súbela primero a un ambiente de pruebas para validar que funcione y después colócala en el sitio público. Si limpias a mano, sigue esta lista:

• Escanea el sitio y elimina el código malicioso con herramientas como Sucuri SiteCheck o Wordfence (en WordPress).
• Reinstala el núcleo del CMS, los plugins y los temas desde fuentes oficiales, nunca desde versiones piratas.
• Elimina los usuarios administradores desconocidos y los archivos PHP que no reconozcas, sobre todo en la carpeta de subidas.
• Busca código sospechoso en archivos y en la base de datos (por ejemplo, funciones como eval o base64, o iframes ocultos).

Si el sitio maneja pagos o datos de clientes, o no tienes experiencia técnica, es mejor apoyarte en un especialista: una limpieza incompleta deja puertas traseras abiertas y el hackeo regresa.

4. ¿Cómo quitar la advertencia de Google y avisar a tus clientes?

Cuando el sitio esté limpio, entra a Google Search Console, abre Problemas de seguridad y solicita una revisión; no la envíes de nuevo mientras esté pendiente. Si Google confirma que todo está bien, retirará la advertencia. Mientras tanto, avisa a tus clientes con claridad y sin alarmarlos.

Comunícate antes de que empiecen a escribirte: envía un correo o publica un aviso en redes sociales que explique la interrupción y lo que estás haciendo para resolverla. Si hubo datos de clientes involucrados, indícales qué hacer, por ejemplo, cambiar su contraseña.

Para profundizar, Google explica cómo recuperarse de un sitio hackeado y cómo funciona el informe de problemas de seguridad.

5. ¿Cómo evitar que tu web sea hackeada otra vez?

Para evitar que tu web sea hackeada otra vez, mantén actualizados el CMS, los plugins y los temas, usa contraseñas únicas con autenticación de dos factores, haz copias de seguridad automáticas fuera del servidor y protege el sitio con un firewall y un certificado SSL. Casi siempre el atacante entra por una puerta que quedó abierta.

Según el Informe de Brechas de Datos 2026 de Verizon, el 31% de las brechas empezó con la explotación de vulnerabilidades de software, por encima de las contraseñas robadas. Y según Patchstack, el 91% de las 11.334 vulnerabilidades nuevas de WordPress en 2025 estaban en plugins. Esto significa que un plugin sin actualizar suele ser la puerta más fácil de abrir.

Medida	Qué riesgo cubre	Cada cuánto
Mantener actualizados CMS, plugins y temas, y eliminar los que no uses. 5 razones para actualizar tu sitio web	Vulnerabilidades conocidas	Por lo menos cada 3 o 4 meses
Contraseñas largas y únicas con autenticación de dos factores	Credenciales robadas	Al crear cada cuenta; cámbialas ante cualquier sospecha
Limitar los intentos de inicio de sesión y los usuarios administradores	Ataques de fuerza bruta	Configuración única y revisión periódica
Copias de seguridad automáticas guardadas fuera del servidor	Pérdida de datos y restauración lenta	Diaria o semanal, según cuánto cambie tu sitio
Firewall (WAF), antivirus y escaneo de vulnerabilidades	Malware y ataques automatizados	Monitoreo continuo
Certificado SSL	Datos interceptados entre el visitante y tu sitio	Renovar antes de que venza
CDN	Ataques de denegación de servicio y picos de tráfico	Se configura una vez

Y no olvides a las personas: capacita a tu equipo en seguridad. Tu contraseña “123456” no es una contraseña: es una invitación.

6. Preguntas frecuentes sobre un sitio web hackeado

¿Cuánto tarda en recuperarse una web hackeada?

Con un respaldo reciente puede resolverse en pocas horas; sin él, la limpieza manual puede tomar varios días, además del tiempo que tarde Google en revisar el sitio.

¿Un hackeo afecta mi posicionamiento en Google?

Sí. Los buscadores pueden mostrar advertencias o penalizar páginas hackeadas con código malicioso o spam, y el tráfico suele caer. Por eso conviene limpiar rápido y solicitar la revisión en Search Console.

¿Puedo limpiar mi sitio hackeado yo mismo?

Si tienes una copia limpia y conocimientos básicos de administración web, sí. Si no, o si tu sitio guarda pagos o datos de clientes, apóyate en un especialista: un hackeo mal limpiado vuelve a aparecer.

¿Cómo sé si mi sitio ya está limpio?

Cuando los escáneres no encuentran nada, site:tudominio.com no muestra páginas de spam y Search Console ya no reporta problemas de seguridad. Mantén el monitoreo activo durante las semanas siguientes.

7. Conclusiones

Un sitio web hackeado no tiene por qué ser el final de tu presencia en línea. Actúa en este orden: detecta, contén, limpia, avisa, pide la revisión a Google y refuerza la seguridad.

Y recuerda que lo mejor es prepararte antes de que ocurra: actualizaciones al día, copias de seguridad y accesos protegidos. ¡Cierra bien la puerta hoy y duerme tranquilo!

¿Quieres un sitio web desarrollado con la seguridad en mente? Conoce nuestro desarrollo de sitios web personalizados y explora más guías en la categoría Web. En Hapi Corp somos el aliado estratégico para tu éxito online.